Délibération nº 2007-027 du 8 février 2007 portant avis sur un projet d'arrêté pris pour la création, à titre expérimental, d'un traitement automatisé de contrôle des données signalétiques des véhicules en application de l'article 8 de la loi nº 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers (demande d'avis nº 1210535).

La Commission nationale de l'informatique et des libertés,

Saisie pour avis par le ministre d'Etat, ministre de l'intérieur et de l'aménagement du territoire, d'un projet d'arrêté pris pour la création, à titre expérimental, d'un traitement automatisé de contrôle des données signalétiques des véhicules en application de l'article 8 de la loi nº 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers,

Vu la convention nº 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;

Vu le code pénal ;

Vu le code de procédure pénale ;

Vu le code des douanes ;

Vu la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 26 ;

Vu la loi nº 2003-239 du 18 mars 2003 pour la sécurité intérieure, notamment son article 26 ;

Vu le décret nº 96-418 du 15 mai 1996 portant application au fichier des véhicules volés des dispositions de l'article 31, alinéa 3, de la  loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu le décret nº 2005-1309 du 20 octobre 2005 pris pour l'application de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004 ;

Vu l'arrêté du 15 mai 1996 modifié relatif au fichier des véhicules volés ;

Vu l'arrêté du 31 mars 2006, modifié par l'arrêté du 17 août 2006, pris pour l'application de l'article 33 de la loi nº 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ;

Vu la délibération nº 95-041 du 4 avril 1995 de la Commission nationale de l'informatique et des libertés portant avis sur le projet d'arrêté relatif au fichier des véhicules volés ;

Vu la délibération nº 2005-208 du 10 octobre 2005 de la Commission nationale de l'informatique et des libertés portant avis sur le projet de loi relatif à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ;

Après avoir entendu M. François Giquel, vice-président, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

Le ministère de l'intérieur et de l'aménagement du territoire a saisi pour avis la Commission nationale de l'informatique et des libertés, le 12 décembre 2006, d'un projet d'arrêté pris pour la création, à titre expérimental, d'un traitement automatisé de contrôle des données signalétiques des véhicules, en application de l'article 8 de la loi nº 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions relatives à la sécurité et aux contrôles frontaliers.

Ce projet d'arrêté a pour objet la mise en oeuvre, pour une durée de deux ans, de dispositifs de lecture automatisée de plaques d'immatriculation (LAPI) embarqués dans des véhicules, aux fins, notamment, de faciliter la constatation des infractions de vol et de recel de véhicules volés ainsi que des infractions criminelles ou liées à la criminalité organisée, au sens de l'article 706-73 du code de procédure pénale, et de prévenir et réprimer les actes de terrorisme, ainsi que de faciliter la constatation des infractions s'y rattachant. Ils pourront aussi être utilisés pour la préservation de l'ordre public, à l'occasion d'événements particuliers ou de grands rassemblements de personnes.

Chaque dispositif constituant, en tant que tel, un traitement de données à caractère personnel et présentant des caractéristiques identiques, le ministère de l'intérieur a saisi la commission d'un projet d'arrêté dans les conditions prévues au IV de l'article 26 de la loi du 6 janvier 1978, modifiée en août 2004.

Le projet d'arrêté constitue ainsi un acte réglementaire unique. Il en résulte que la mise en oeuvre de tout nouveau dispositif similaire pourra s'effectuer via un simple engagement de conformité de celui-ci à la description figurant dans l'arrêt publié.

Les finalités assignées aux traitements par l'article 1er du projet d'arrêté sont celles qui ont été définies par le législateur au premier alinéa de l'article 26 de la loi du 18 mars 2003.

La commission relève cependant que cette disposition de l'arrêté ne comporte aucune modalité précise d'application concernant les lieux d'implantation des dispositifs fixes ou mobiles et qu'elle autorise ainsi leur mise en oeuvre en tous lieux du territoire.

De même, pour l'application de l'alinéa 2 du même article, ne sont pas définis les événements particuliers ou les grands rassemblements de personnes à l'occasion desquels ces dispositifs peuvent être utilisés, la durée pendant laquelle ils peuvent l'être, l'autorité administrative compétente pour agir.

La mise en oeuvre de dispositifs expérimentaux, limitée pour le moment à six véhicules de police sérigraphiés ou banalisés, est destinée à permettre une première évaluation de l'emploi de ce type de procédé afin d'améliorer l'évaluation des besoins et de définir une architecture opérationnelle et technique pérenne.

Grâce aux caméras vidéo installées sur les véhicules, le système de traitement permettra à la fois :

– de capter et lire les plaques d'immatriculation de tous les véhicules passant dans leur champ de vision, de les comparer en temps réel à l'extraction quotidienne du fichier des véhicules volés et signalés (FVV), et de générer une “alerte” lorsqu'un rapprochement positif est effectué ;

– de capter et stocker une image de la plaque d'immatriculation et une image plus large des mêmes véhicules comportant la photographie des occupants, en même temps que la date et l'heure de chaque photographie et les coordonnées de géolocalisation du véhicule de prise de vues.

En cas d'alerte, c'est-à-dire de rapprochement positif, les opérateurs habilités pourront accéder à ces images, pour contrôler visuellement le numéro d'immatriculation fourni par la lecture automatique, ainsi qu'aux données du FVV concernant le motif du signalement et la conduite à tenir.

La commission prend acte qu'aux termes de l'article 2 du projet d'arrêté seul le fichier des véhicules volés et signalés (FVV) pourra être consulté.

S'agissant de la durée de conservation appliquée aux données, le projet d'arrêté, reprenant les termes de l'article 8 de la loi du 23 janvier 2006, prévoit que :

– les données relatives à un rapprochement positif entre le FVV et les caractéristiques d'un véhicule sont conservées pendant une durée d'un mois ;

– les données qui n'ont pas fait l'objet d'un rapprochement positif avec le FVV sont conservées durant un délai maximum de huit jours.

L'application expérimentale utilisera la totalité de ce délai afin que les données qui n'auront pas fait l'objet d'un rapprochement positif avec le FVV le premier jour soient, pendant la période de huit jours, comparées chaque jour de manière automatique à la version de l'extraction du FVV chargée quotidiennement dans les véhicules. Si cette nouvelle comparaison a posteriori débouche sur des rapprochements positifs, ceux-ci seront alors consultables et conservés pendant un mois.

La commission demande que le rapport d'évaluation de l'expérimentation, qui lui sera transmis en vertu de l'article 9 du projet d'arrêté, porte une attention particulière aux éléments, notamment statistiques, permettant d'apprécier et de justifier le choix de la durée de conservation adoptée.

La commission prend acte que pendant la période de huit jours, sauf pour la comparaison automatique avec le FVV, les données recueillies et conservées ne pourront faire l'objet d'aucune consultation, quelle qu'elle soit. Elles seront ensuite effacées.

Cependant, les modalités techniques de cet effacement doivent être améliorées.

En effet, à l'issue des délais de conservation prévus, lesdites données, si elles cessent d'être lisibles et directement consultables, ne feront l'objet que d'un écrasement progressif au fur et à mesure de la réinscription de nouvelles données dans le système.

Sur ce point, la commission considère que la notion d'effacement retenue dans la loi et reprise dans le projet d'arrêté nécessite la suppression totale et définitive des données au terme du délai de huit jours ou d'un mois, selon les cas.

En conséquence, la commission demande la mise en oeuvre d'un véritable procédé d'effacement automatique des données à l'expiration des délais autorisés.

Enfin, la commission souhaite souligner que la mise en oeuvre des traitements décrits, compte tenu des risques potentiels qu'ils comportent au regard de la protection des libertés individuelles et de la vie privée, nécessite des procédures de contrôle a posteriori de l'utilisation des données collectées et enregistrées rigoureuses aux fins de prévenir et empêcher tout traitement ultérieur pour d'autres finalités que celles inscrites dans l'article 26 de la loi du 18 mars 2003, modifié par la loi du 23 janvier 2006.

Le président, A. Türk